Burp Suite 的密钥文件，十有八九藏在 `%USERPROFILE%\.BurpSuite` 这个目录下。Windows 上就是 `C:\Users\你的用户名\.BurpSuite`，macOS 和 Linux 则在 `~/.BurpSuite`。里面有个叫 `burp.license` 或者 `license.txt` 的东西，纯文本，打开就能看到一长串 Base64 编码的字符串。这就是你花钱买 Pro 版之后，PortSwigger 发给你的授权凭证。

我见过太多人把密钥当成软件安装包的一部分，重装系统之前不备份，结果激活码找不回来，只能发邮件给官方客服。客服倒是挺客气，但流程走下来少说两三天。这期间你只能用 Community 版，Intruder 限速、Scanner 直接锁死，做渗透测试跟自断一臂差不多。

密钥本身长这样：eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...，后面跟着几百个字符。它其实是个 JWT（JSON Web Token），里面编码了你的邮箱、许可证类型、过期时间。PortSwigger 用私钥签名，Burp 启动时拿内置公钥验签。验过了，Pro 功能全开；验不过，弹窗告诉你 “Invalid license”。

有人动过歪脑筋，想用网上流传的 “破解版密钥”。那些字符串要么是别人泄露的正版授权，要么是伪造的 JWT。前者的下场是被官方拉黑——同一密钥在多台机器上高频激活，后台一眼就能看出来。后者更惨，Burp 直接拒绝启动，连 Community 模式都进不去，得手动删掉配置文件才能恢复。我试过一次，折腾了半小时，最后还是老老实实去官网买了个人版，一年 475 美元。贵是贵，但省心。

密钥和机器绑定吗？严格来说不绑。你可以在台式机和笔记本上用同一个密钥，只要别同时跑。PortSwigger 的授权协议写得很清楚：单人使用，最多装在三台设备上。但如果你把密钥发给同事，两个人同时在线，服务器端会检测到冲突。第一次警告，第二次直接吊销。我认识一个安全团队的小leader，图省钱搞了个团购密钥，五个人分着用，第三天就被封了，整个团队停摆一周。

密钥过期前一个月，Burp 会开始弹提醒。那个弹窗关不掉，每次启动都跳出来，烦得很。续费之后，你会收到一个新的密钥字符串，替换掉旧的就行。别删旧文件，留着当备份。我习惯把密钥复制到密码管理器里，再在本地存一份加密压缩包。去年换硬盘，密码管理器同步抽风，全靠那个压缩包救急。

Linux 用户注意权限问题。~/.BurpSuite 目录默认是 700，密钥文件是 600。如果你用 sudo 跑 Burp，密钥会写到 root 的 home 目录下，普通用户启动时读不到，又得重新激活。这种坑我踩过两次，后来学乖了，永远不加 sudo，需要抓 80 端口就用 iptables 做流量转发。

最后说个冷知识：Burp 的密钥文件可以手动编辑。你把里面的邮箱改成别的，签名验证照样通过——因为签名只覆盖了许可证类型和过期时间，邮箱字段没被签进去。但这不代表你能伪造一个无限期的密钥。过期时间在签名范围内，改一个字符整个 JWT 就废了。所以别想着钻空子，有那功夫不如多挖两个漏洞，赚的赏金够买好几年授权了。